Openstack DBaaS (Trove) Improper Link Resolution Before File Access
The _write_config function in trove/guestagent/datastore/experimental/mongodb/service.py, reset_configuration function in trove/guestagent/datastore/experimental/postgresql/service/config.py, write_config function in trove/guestagent/datastore/experimental/redis/service.py, _write_mycnf function in trove/guestagent/datastore/mysql/service.py, InnoBackupEx::_run_prepare function in trove/guestagent/strategies/restore/mysql_impl.py, InnoBackupEx::cmd function in trove/guestagent/strategies/backup/mysql_impl.py,MySQLDump::cmd in trove/guestagent/strategies/backup/mysql_impl.py, InnoBackupExIncremental::cmd function in trove/guestagent/strategies/backup/mysql_impl.py, _get_actual_db_status function in trove/guestagent/datastore/experimental/cassandra/system.py and trove/guestagent/datastore/experimental/cassandra/service.py, and multiple class CbBackup methods in trove/guestagent/strategies/backup/experimental/couchbase_impl.py in Openstack DBaaS (aka Trove) as packaged in Openstack before 2015.1.0 (aka Kilo) allows local users to write to configuration files via a symlink attack on a temporary file.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Python (PyPI) | trove | < 4.0.0a0 | 4.0.0a0 |
Verweise
- https://nvd.nist.gov/vuln/detail/CVE-2015-3156
- https://github.com/openstack/trove/commit/61774984aa2bacfe89867fc39a402a6a4cfb8f33
- https://bugs.launchpad.net/trove/+bug/1398195
- https://bugzilla.redhat.com/show_bug.cgi?id=1216073
- https://github.com/openstack/trove
- https://github.com/openstack/trove/blob/master/trove/guestagent/datastore/experimental/cassandra/service.py#L230
- https://github.com/openstack/trove/blob/master/trove/guestagent/datastore/experimental/mongodb/service.py#L176
- https://github.com/openstack/trove/blob/master/trove/guestagent/datastore/experimental/redis/service.py#L236
- https://github.com/openstack/trove/blob/master/trove/guestagent/datastore/mysql/service.py#L790
- https://github.com/openstack/trove/blob/master/trove/guestagent/strategies/backup/experimental/couchbase_impl.py#L30
- https://github.com/openstack/trove/blob/master/trove/guestagent/strategies/backup/mysql_impl.py#L110
- https://github.com/openstack/trove/blob/master/trove/guestagent/strategies/backup/mysql_impl.py#L36
- https://github.com/openstack/trove/blob/master/trove/guestagent/strategies/backup/mysql_impl.py#L55
- https://github.com/openstack/trove/blob/master/trove/guestagent/strategies/restore/mysql_impl.py#L194
- https://pypi.org/project/trove
- https://github.com/advisories/GHSA-98c8-36p9-gw66
- CVSS-Vektor
CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N- Schwäche (CWE)
CWE-59- Plattform
- Python (PyPI)
- Paket
trove- Veröffentlicht
- 17.05.2022
- Aktualisiert
- 11.10.2026 13:18
Quellen und Lizenzen
OSV / GitHub Advisory Database - PYSEC-2026-1053 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-98c8-36p9-gw66 - CC BY 4.0
Schwachstellenhistorie: trove
Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
Dies ist die einzige bekannte Schwachstelle dieses Pakets.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.